“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Consultor: JUAN DAVID BERRIO LOPEZ - judabe2003@gmail.com Ingeniero en Informática. Máster en Seguridad Informática, Universidad Oberta de Catalunya OSCP-CEH-CCNSP Cyberoam

“Seguridad en Aplicaciones Web” -Amenazas a las Aplicaciones- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Amenazas a las Aplicaciones-

“Seguridad en Aplicaciones Web” -Amenazas a las Aplicaciones- www.dsteamseguridad.com “Seguridad en Aplicaciones Web” -Amenazas a las Aplicaciones- Son muchos los vectores de ataque actuales a las aplicaciones web, pero algunas técnicas son las mas usadas y conocidas entres los delincuentes informáticos, entre ellas se encuentran: SQL Injection Cross Site Scripting Directory Traversal Attacks CRLF Injection attacks Google hacking File inclusion ( Ver documentos realizados para cada uno de los ataques)

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Introducción: PHP es un lenguaje altamente difundido y utilizado en nuestro días, además de que libre, por lo que muchas aplicaciones con diversas orientaciones, se están construyendo en este potente Lenguaje de Programación. Dada la popularidad de este Lenguaje de programación y el alcance que tiene a nivel de desarrolladores y aplicaciones, es imprescindible tener unos criterios de seguridad, para el desarrollo de aplicaciones sobre PHP, además de comprender todos los vectores de ataque. https://www.owasp.org/index.php/PHP_Top_5

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Principales criterios a tener en cuenta para el desarrollo seguro de PHP: Herramientas tecnológicas y recursos existentes para mejorar la programación segura (Mostrar Presentación Appliance de Seguridad) Libros de desarrollo seguro en PHP OWASP PHP Top 5 Análisis de vulnerabilidades. Planeación de la seguridad a nivel del entorno tecnológico y a nivel del desarrollo del Código.

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Herramientas tecnológicas y recursos existentes para mejorar la programación segura (Mostrar Presentación Appliance de Seguridad). https://www.owasp.org/index.php/Category:OWASP_WebGoat_Project http://www.mavensecurity.com/web_security_dojo/ http://samurai.inguardians.com/ https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project http://dvwa.co.uk/ https://www.owasp.org/index.php/Category:OWASP_Live_CD_Project

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Puntos importantes de Partida: https://www.owasp.org/index.php/PHP_Top_5 http://phpsec.org/projects/guide/ http://ha.ckers.org/xss.html http://www.hardened-php.net/suhosin/

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Consideraciones Iníciales: Considere el uso legitimo de su aplicación. Diseño Seguro: Un diseño seguro es sólo una parte de la solución. Durante el desarrollo, cuando el código se escribe, es importante considerar el uso ilegítimo de su aplicación. Por lo regular, la atención se centra en hacer que la aplicación funcione como se pretende, y si bien esto es necesario para entregar una aplicación funcione correctamente, esto no hace algo necesariamente para la seguridad de la aplicación. Procesos de educación y capacitación con la ayuda de las herramientas tecnológicas disponibles y documentación del tipo que se publica en el proyecto OWASP Aplicar las Directivas sobre PHP, que se encuentran en la “Guía para Construir Aplicaciones y Servicios Web Seguros” de la OWASP

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Al respecto de las directivas para PHP, se tiene lo siguiente: Variables Globales Register_Globals Inclusión y Ficheros Remotos Subida de Ficheros Sesiones Cross Site Scripting Inyecciones SQL Inyección de Código Inyecciones de Comando Opciones de Configuración https://www.owasp.org/images/b/b2/OWASP_Development_Guide_2.0.1_Spanish.pdf

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Otros temas a tener presente son: Validar y desinfectar datos de entrada Protección contra los riesgos que se produce las entradas no validadas de forma adecuada. Mantener los archivos temporales de seguridad Prevenir secuestro de sesiones Seguridad en bases de datos Seguridad en el sistema de archivos

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Aplicación de Recursos Tecnológicos: Con el fin de proyectar procesos prácticos en el desarrollo seguro de aplicaciones PHP, se propone tener presente las siguientes herramientas y documentación: Damn Vulnerable Web App (DVWA) es una aplicación escrita en PHP/MYSQL, la cual es vulnerable a ataques informáticos. Su objetivo es totalmente con fines educativos, para que los ingenieros de infraestructura y desarrolladores practiquen y estudien n el tema relacionado con seguridad en aplicaciones web. http://www.randomstorm.com/dvwa-security-tool.php

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Aplicación de Recursos Tecnológicos: Tener presente de descargar la maquina virtual para VMWARE: http://sourceforge.net/projects/websecuritydojo/files/Version_1.2/dojo_v1.2-vmware.zip/download http://www.mavensecurity.com/web_security_dojo/ Damn Vulnerable Web App (DVWA), esta contenida dentro de esta Distro de Linux, de forma pre-configurada, además esta Distro tienen otras herramientas de análisis de vulnerabilidades y de estudio, tales como: OWASP’s WebGoat Hacme Casino

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Aplicación de Recursos Tecnológicos: http://samurai.inguardians.com/ Esta excelente Distro de Linux, es similar a DOJO, solo que tienen un mayor énfasis en llevar de forma metodológica un procesos de Test de penetración o Hacking Ético a un servidor web.

“Seguridad en Aplicaciones Web” www.dsteamseguridad.com “Seguridad en Aplicaciones Web” PHP Aplicación de Recursos Tecnológicos: Por ultimo se tienen dos versiones de Linux que son especialistas en ataques y auditorias intrusivas a las aplicaciones Web. OWASP LiVe CD es especial para el tema de seguridad en aplicaciones Web. Mientras que BackTrack, es especial en el tema de arquitectura de redes, pero también tiene muchísimas herramientas para evaluar la seguridad de un sitio web. https://www.owasp.org/index.php/Category:OWASP_Live_CD_Project http://www.backtrack-linux.org/downloads/